EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTE
CVE-2025-55182 Ejecución remota de código en react-server-dom-webpack y paquetes relacionados
Existe una vulnerabilidad de ejecución remota de código previa a la autenticación en React Server Components versiones 19.0.0, 19.1.0, 19.1.1 y 19.2.0, incluidos los paquetes react-server-dom-parcel, react-server-dom-turbopack y react-server-dom-webpack. El código vulnerable deserializa de forma insegura payloads de peticiones HTTP a los endpoints de Server Function.
Alerta de Nureq Monitor
Detectada 11 OCT · 22:54Última novedad 17 OCT · 04:52
CVSS 3.1
10.0CRÍTICAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
99,8 % PERCENTIL 100
EXPLOTACIÓN ACTIVA
Sí DESDE 05/12/2025
EXPLOIT PÚBLICO
Sí 2 REPOSITORIOS
Qué es CVE-2025-55182
Existe una vulnerabilidad de ejecución remota de código previa a la autenticación en React Server Components versiones 19.0.0, 19.1.0, 19.1.1 y 19.2.0, incluidos los paquetes react-server-dom-parcel, react-server-dom-turbopack y react-server-dom-webpack. El código vulnerable deserializa de forma insegura payloads de peticiones HTTP a los endpoints de Server Function.
Productos y versiones afectadas
Meta react-server-dom-webpack
Meta react-server-dom-turbopack
Meta react-server-dom-parcel
Qué hacer
- Verificá si usás react-server-dom-webpack y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Exploits y pruebas de concepto públicas
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
- M4rc3l08/ReactorWriteUp-HackTheBox ↗Reactor es una máquina Linux fácil vulnerable a CVE-2025-55182 (React2Shell), RCE sin autenticación en React Server Components. Accedemos como node, crackeamos un hash MD5 de una base de datos SQLite y pivotamos a…PUBLICADO 11 OCT · 22:54
- Industri4l-H3ll-Xpl0it3rs/CVE-2025-55182-React2Shell ↗CVE-2025-55182 Exploit | by infrar3dPUBLICADO 17 OCT · 04:52
Calculadora CVSS
CVSS 3.1 · 10.0 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Cambiado
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
Abrir la calculadora completa →
Descripción original
A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.
Referencias
- www.facebook.com/security/advisories/cve-2025-55182X_REFSOURCE_CONFIRM
- react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-componentsX_REFSOURCE_CONFIRM
- aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell…MEDIA-COVERAGE
- www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182GOVERNMENT-RESOURCE
- www.openwall.com/lists/oss-security/2025/12/03/4
- news.ycombinator.com/item?id=46136026
Historial de la alerta
- EXPLOIT PÚBLICO Se publicó el repositorio M4rc3l08/ReactorWriteUp-HackTheBox.
- EXPLOIT PÚBLICO Se publicó el repositorio Industri4l-H3ll-Xpl0it3rs/CVE-2025-55182-React2Shell.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.